OP.PL.1 Análisis de Riesgos

Documentos de referencia

Normativa y Regulación

• Real Decreto 311/2022 - Esquema Nacional de Seguridad
  • Artículo 5. La seguridad como un proceso integral
  • Artículo 6. Gestión de la seguridad basada en los riesgos
  • Artículo 7. Prevención, detección, respuesta y conservación
  • Artículo 27. Análisis y gestión de riesgos
  • Anexo I. Categorías de seguridad
  • Anexo II. Medidas de seguridad

Guías CCN-STIC Aplicables

• Serie 800 - Esquema Nacional de Seguridad:

  • CCN-STIC-803 - Valoración de sistemas en el ENS
  • CCN-STIC-804 - Guía de implantación del ENS
  • CCN-STIC-806 - Plan de adecuación del ENS
  • CCN-STIC-808 - Verificación del cumplimiento
  • CCN-STIC-815 - Métricas e indicadores ENS
  • CCN-STIC-821 - Normas de Seguridad ENS

• Herramientas PILAR - Análisis de Riesgos:

  • CCN-STIC-470H1 - Manual PILAR. Análisis y gestión de riesgos
  • CCN-STIC-470H2 - Manual PILAR. Análisis de impacto y continuidad
  • CCN-STIC-472F - Manual PILAR BASIC
  • CCN-STIC-473E - Manual µPILAR

Metodología MAGERIT v3

• MAGERIT v3.0:2012 - Metodología de Análisis y Gestión de Riesgos
  • Libro I: Método
  • Libro II: Catálogo de Elementos
  • Libro III: Guía de Técnicas
  • Actualización 2023: Integración con ENS RD 311/2022

Normativa Internacional

• ISO/IEC 27000 Series:

  • ISO/IEC 27001:2022 - Requisitos SGSI
    • Cláusula 6.1 - Acciones para abordar riesgos y oportunidades
    • Cláusula 8.2 - Evaluación de riesgos de seguridad
    • Cláusula 8.3 - Tratamiento de riesgos
  • ISO/IEC 27005:2022 - Gestión de riesgos de seguridad
  • ISO/IEC 31000:2018 - Gestión del riesgo

• NIST Framework:

  • NIST SP 800-30 Rev.1 - Risk Assessment Guide
  • NIST SP 800-37 Rev.2 - Risk Management Framework
  • NIST SP 800-39 - Managing Enterprise Risk
  • NIST SP 800-53 Rev.5 - Security and Privacy Controls

• Normativa Sanitaria:

  • ISO 14971:2019 - Gestión de riesgos dispositivos médicos
  • IEC 80001-1:2021 - Gestión de riesgos redes sanitarias
  • FDA Cybersecurity Guidance 2023

Guía de implantación según CCN-STIC 806

Principios Fundamentales (RD 311/2022, Art. 7)

Según el artículo 7 del RD 311/2022, la gestión de riesgos debe garantizar:

1. Prevención: Evitar o reducir al mínimo la probabilidad de materialización de amenazas
2. Detección: Descubrir oportunamente incidentes de seguridad
3. Respuesta: Capacidad para neutralizar o minimizar el impacto de incidentes
4. Conservación: Mantener la información durante su ciclo de vida

Metodología de Análisis (MAGERIT v3)

El análisis de riesgos sigue la metodología MAGERIT v3, estructurada en:

Fase 1 - Caracterización:

• Identificación y valoración de activos
• Determinación de dimensiones de seguridad DAICT
• Establecimiento del alcance y límites del sistema

Fase 2 - Identificación de Amenazas:

• Catálogo de amenazas MAGERIT
• Análisis de frecuencia y probabilidad
• Evaluación de vulnerabilidades

Fase 3 - Evaluación del Riesgo:

• Cálculo del impacto potencial
• Determinación del riesgo intrínseco
• Priorización según criticidad

Fase 4 - Tratamiento del Riesgo:

• Selección de salvaguardas
• Cálculo del riesgo residual
• Plan de tratamiento de riesgos

Requisitos Formales del Análisis

1. Documentación Obligatoria (CCN-STIC 806):

   • Informe de análisis de riesgos
   • Declaración de aplicabilidad
   • Plan de tratamiento de riesgos
   • Registro de riesgo residual aceptado

2. Aprobación y Responsabilidades:

   • Responsable de la Información: Valida valoración de activos
   • Responsable del Servicio: Aprueba medidas de tratamiento
   • Responsable de Seguridad: Supervisa metodología
   • Alta Dirección: Acepta riesgo residual

3. Periodicidad de Revisión:

   • Anual: Revisión completa del análisis
   • Semestral: Actualización de amenazas
   • Continua: Ante cambios significativos
   • Inmediata: Tras incidentes de seguridad

Integración con el Ciclo de Vida del Sistema

El análisis de riesgos debe realizarse en:

• Fase de Diseño: Requisitos de seguridad y arquitectura
• Fase de Desarrollo: Validación de controles
• Fase de Operación: Monitorización y ajuste
• Fase de Retirada: Gestión segura del decomisionado

Implementación en Legit Health Plus

Metodología de Análisis de Riesgos según CCN-STIC 806

Marco de Gestión Integrado ENS-MDR

Legit Health Plus implementa un sistema de gestión de riesgos que cumple simultáneamente con:

Marco Regulatorio Nacional:

• RD 311/2022 - Esquema Nacional de Seguridad
• CCN-STIC 806 - Plan de adecuación del ENS
• MAGERIT v3.0 - Metodología nacional de análisis de riesgos

Marco Regulatorio Sanitario:

• ISO 14971:2019 - Gestión de riesgos para dispositivos médicos
• ISO 62366-1:2015 - Ingeniería de usabilidad
• FDA Cybersecurity Guidance 2023 - Ciberseguridad dispositivos médicos
• EU MDR 2017/745 - Reglamento de productos sanitarios

Documentación del Sistema:

• R-TF-013-002 - Registro unificado de análisis de riesgos
• T-024-006 - Modelo de amenazas STRIDE/MAGERIT
• T-024-009 - Arquitectura de seguridad ENS
• T-110-003 - Matriz de cumplimiento ENS

Dimensiones de Seguridad DAICT (RD 311/2022)

Conforme al Anexo I del RD 311/2022, se evalúan las cinco dimensiones:

Dimensión	Sigla	Definición ENS	Nivel Legit Health
Disponibilidad	[D]	Propiedad de la información de estar accesible y utilizable cuando lo requiera una entidad autorizada	MEDIO
Autenticidad	[A]	Propiedad que garantiza que una entidad es quien dice ser o que garantiza la fuente de la que proceden los datos	ALTO
Integridad	[I]	Propiedad de la información de mantenerse completa e inalterada	ALTO
Confidencialidad	[C]	Propiedad de la información de no ponerse a disposición ni revelarse a individuos, entidades o procesos no autorizados	MEDIO
Trazabilidad	[T]	Propiedad que garantiza que las actuaciones de una entidad pueden ser imputadas exclusivamente a dicha entidad	ALTO

Categorización del Sistema (CCN-STIC 803)

Según la valoración DAICT y siguiendo CCN-STIC 803:

Categoría del Sistema: MEDIA

• Dimensiones en nivel ALTO: Autenticidad, Integridad, Trazabilidad
• Dimensiones en nivel MEDIO: Disponibilidad, Confidencialidad
• Aplicación de medidas del Anexo II con refuerzo en dimensiones ALTO

Proceso de Análisis de Riesgos MAGERIT v3

Identificación y Valoración de Activos (MAGERIT Libro II)

Siguiendo el catálogo de elementos de MAGERIT v3:

[D] Datos / Información:

Código	Activo	Valoración DAICT	Criticidad
[D.vr]	Datos vitales (historiales clínicos)	D:4 A:5 I:5 C:4 T:5	MUY ALTA
[D.per]	Datos personales (información pacientes)	D:3 A:4 I:4 C:5 T:4	ALTA
[D.int]	Datos de gestión interna	D:2 A:3 I:3 C:3 T:3	MEDIA
[D.com]	Datos comerciales (algoritmos IA)	D:3 A:4 I:5 C:5 T:3	MUY ALTA
[D.log]	Registros de actividad	D:2 A:5 I:5 C:2 T:5	ALTA

[S] Servicios:

Código	Servicio	Valoración DAICT	Criticidad
[S.www]	Portal web médico	D:3 A:4 I:4 C:3 T:4	ALTA
[S.api]	API REST diagnóstico	D:4 A:5 I:5 C:3 T:5	MUY ALTA
[S.int]	Servicios internos (ML)	D:3 A:4 I:5 C:4 T:4	ALTA
[S.email]	Notificaciones	D:2 A:3 I:3 C:3 T:3	MEDIA

[SW] Software / Aplicaciones:

Código	Aplicación	Valoración DAICT	Criticidad
[SW.app]	Aplicación diagnóstico	D:4 A:5 I:5 C:3 T:5	MUY ALTA
[SW.os]	Sistema operativo	D:4 A:4 I:4 C:3 T:4	ALTA
[SW.av]	Antivirus/EDR	D:3 A:4 I:4 C:2 T:4	ALTA
[SW.db]	SGBD PostgreSQL	D:4 A:4 I:5 C:4 T:4	MUY ALTA

[HW] Equipamiento:

Código	Hardware	Valoración DAICT	Criticidad
[HW.srv]	Servidores AWS EC2	D:4 A:4 I:4 C:3 T:4	ALTA
[HW.st]	Almacenamiento S3	D:4 A:4 I:5 C:4 T:4	MUY ALTA
[HW.net]	Infraestructura red	D:4 A:4 I:4 C:3 T:3	ALTA

[P] Personal:

Código	Personal	Valoración DAICT	Criticidad
[P.adm]	Administradores sistema	D:5 A:5 I:5 C:5 T:5	MUY ALTA
[P.op]	Operadores	D:3 A:4 I:4 C:3 T:4	ALTA
[P.dev]	Desarrolladores	D:3 A:4 I:5 C:4 T:4	ALTA
[P.usr]	Usuarios médicos	D:2 A:3 I:3 C:3 T:3	MEDIA

Identificación de Amenazas (MAGERIT Libro II - Catálogo)

Aplicando el catálogo de amenazas MAGERIT v3:

[N] Desastres Naturales:

Código	Amenaza	Probabilidad	Impacto DAICT
[N.1]	Fuego	Muy Baja	D:5 A:- I:5 C:- T:5
[N.2]	Daños por agua	Baja	D:4 A:- I:4 C:- T:4
[N.*]	Desastres naturales	Muy Baja	D:5 A:- I:5 C:- T:5

[I] De Origen Industrial:

Código	Amenaza	Probabilidad	Impacto DAICT
[I.1]	Fuego	Baja	D:5 A:- I:5 C:- T:5
[I.2]	Daños por agua	Baja	D:4 A:- I:4 C:- T:4
[I.8]	Fallo servicios comunicaciones	Media	D:4 A:- I:- C:- T:3
[I.9]	Interrupción otros servicios	Media	D:3 A:- I:- C:- T:2

[E] Errores y Fallos No Intencionados:

Código	Amenaza	Probabilidad	Impacto DAICT
[E.1]	Errores de usuarios	Alta	D:2 A:3 I:3 C:2 T:3
[E.2]	Errores del administrador	Media	D:4 A:4 I:4 C:3 T:4
[E.15]	Alteración de información	Media	D:- A:4 I:5 C:- T:4
[E.18]	Destrucción de información	Baja	D:5 A:- I:5 C:- T:5
[E.19]	Divulgación de información	Media	D:- A:- I:- C:5 T:3
[E.23]	Errores de mantenimiento	Baja	D:3 A:3 I:3 C:2 T:3
[E.24]	Caída del sistema por agotamiento	Media	D:4 A:- I:- C:- T:2

[A] Ataques Intencionados:

Código	Amenaza	Probabilidad	Impacto DAICT
[A.5]	Suplantación identidad	Alta	D:- A:5 I:4 C:4 T:5
[A.6]	Abuso de privilegios	Media	D:3 A:4 I:4 C:5 T:4
[A.7]	Uso no previsto	Media	D:2 A:3 I:3 C:3 T:3
[A.8]	Difusión software dañino	Alta	D:4 A:3 I:4 C:4 T:3
[A.11]	Acceso no autorizado	Alta	D:- A:5 I:3 C:5 T:5
[A.13]	Repudio	Media	D:- A:5 I:- C:- T:5
[A.15]	Modificación de información	Media	D:- A:4 I:5 C:- T:4
[A.18]	Destrucción de información	Baja	D:5 A:- I:5 C:- T:5
[A.19]	Divulgación de información	Alta	D:- A:- I:- C:5 T:3
[A.24]	Denegación de servicio	Alta	D:5 A:- I:- C:- T:2
[A.25]	Robo	Baja	D:4 A:- I:- C:4 T:-
[A.26]	Ataque destructivo	Muy Baja	D:5 A:- I:5 C:- T:5

Mapeo STRIDE-MAGERIT:

• Spoofing → [A.5] Suplantación, [A.11] Acceso no autorizado
• Tampering → [A.15] Modificación, [E.15] Alteración
• Repudiation → [A.13] Repudio
• Information Disclosure → [A.19] Divulgación, [E.19] Divulgación
• Denial of Service → [A.24] DoS, [E.24] Agotamiento
• Elevation of Privilege → [A.6] Abuso privilegios

Evaluación de Riesgos según MAGERIT v3

Cálculo del Riesgo (MAGERIT Libro I - Método)

El riesgo se calcula como: Riesgo = Impacto × Probabilidad

Escala de Impacto MAGERIT (por dimensión DAICT):

Nivel	Valor	Descripción	Impacto Operacional
MA	Muy Alto (10)	Daño extremadamente grave	Paralización del servicio > 1 mes
A	Alto (7-9)	Daño grave	Interrupción grave del servicio
M	Medio (4-6)	Daño importante	Merma significativa del servicio
B	Bajo (1-3)	Daño menor	Merma apreciable del servicio
MB	Muy Bajo (0)	Irrelevante	Sin impacto apreciable

Escala de Probabilidad MAGERIT:

Nivel	Valor	Descripción	Frecuencia Estimada
MA	Muy Alta (100)	Casi seguro	Varias veces al día
A	Alta (10)	Muy probable	Una vez cada pocos días
M	Media (1)	Probable	Una vez cada pocos meses
B	Baja (0.1)	Poco probable	Una vez cada pocos años
MB	Muy Baja (0.01)	Muy improbable	Siglos

Matriz de Riesgo ENS-MAGERIT

Impacto \ Probabilidad	MB (0.01)	B (0.1)	M (1)	A (10)	MA (100)
MA (10)	Bajo	Medio	Alto	Muy Alto	Crítico
A (7-9)	Muy Bajo	Bajo	Medio	Alto	Muy Alto
M (4-6)	Muy Bajo	Bajo	Medio	Alto	Alto
B (1-3)	Muy Bajo	Muy Bajo	Bajo	Medio	Medio
MB (0)	Muy Bajo	Muy Bajo	Muy Bajo	Bajo	Bajo

Zonas de Riesgo y Tratamiento (RD 311/2022)

Zona	Nivel de Riesgo	Valor	Acción Requerida
ZONA 1	Muy Bajo	[0-2]	Asumir el riesgo ✅
ZONA 2	Bajo	[2-10]	Monitorizar ⚠️
ZONA 3	Medio	[10-50]	Plan de tratamiento obligatorio ⚠️
ZONA 4	Alto	[50-100]	Acción inmediata requerida 🔴
ZONA 5	Crítico	[>100]	Inaceptable - Detener operación ⛔️

Salvaguardas y Controles de Seguridad (Anexo II RD 311/2022)

Medidas de Seguridad por Categoría ENS

Conforme al Anexo II del RD 311/2022, para CATEGORÍA MEDIA con dimensiones ALTAS:

[org] Marco Organizativo:

Medida	Descripción	Nivel	Estado	Evidencia
org.1	Política de seguridad	MEDIO	✅ Implementado	GP-110
org.2	Normativa de seguridad	MEDIO	✅ Implementado	Normativas internas
org.3	Procedimientos operativos	MEDIO	✅ Implementado	GP-024, GP-013
org.4	Proceso de autorización	MEDIO	✅ Implementado	Matriz RACI

[op.pl] Planificación:

Medida	Descripción	Nivel	Estado	Evidencia
op.pl.1	Análisis de riesgos	MEDIO	✅ Implementado	R-TF-013-002, PILAR
op.pl.2	Arquitectura de seguridad	MEDIO	✅ Implementado	T-024-009
op.pl.3	Adquisición nuevos componentes	MEDIO	✅ Implementado	Proceso SOUP
op.pl.4	Dimensionamiento/gestión capacidad	BÁSICO	✅ Implementado	AWS Auto-scaling
op.pl.5	Componentes certificados	ALTO	⚠️ Parcial	Certificaciones pendientes

[op.acc] Control de Acceso:

Medida	Descripción	Nivel	Estado	Evidencia
op.acc.1	Identificación	MEDIO	✅ Implementado	OAuth 2.0/OIDC
op.acc.2	Requisitos de acceso	MEDIO	✅ Implementado	RBAC definido
op.acc.3	Segregación funciones	MEDIO	✅ Implementado	Roles segregados
op.acc.4	Gestión derechos acceso	MEDIO	✅ Implementado	IAM AWS
op.acc.5	Mecanismo autenticación	ALTO	✅ Implementado	MFA obligatorio
op.acc.6	Acceso local	ALTO	✅ Implementado	Consola AWS MFA
op.acc.7	Acceso remoto	ALTO	✅ Implementado	VPN + MFA

[op.exp] Explotación:

Medida	Descripción	Nivel	Estado	Evidencia
op.exp.1	Inventario activos	BÁSICO	✅ Implementado	AWS Config
op.exp.2	Configuración seguridad	MEDIO	✅ Implementado	Baselines CIS
op.exp.3	Gestión configuración	MEDIO	✅ Implementado	Terraform/IaC
op.exp.4	Mantenimiento	MEDIO	✅ Implementado	Plan mantenimiento
op.exp.5	Gestión cambios	MEDIO	✅ Implementado	GP-005
op.exp.6	Protección código dañino	MEDIO	✅ Implementado	EDR/Antimalware
op.exp.7	Gestión incidentes	MEDIO	✅ Implementado	T-024-008
op.exp.8	Registro actividad usuarios	ALTO	✅ Implementado	CloudWatch Logs
op.exp.9	Registro gestión incidentes	ALTO	✅ Implementado	SIEM
op.exp.10	Protección registros	ALTO	✅ Implementado	Logs inmutables
op.exp.11	Protección claves criptográficas	ALTO	✅ Implementado	AWS KMS

Salvaguardas MAGERIT v3

Tipos de Salvaguardas:

Tipo	Código	Descripción	Ejemplos Implementados
Preventivas	[PR]	Reducen probabilidad	Autenticación MFA, Firewall WAF
Detectivas	[DR]	Detectan materialización	SIEM, IDS/IPS, Monitorización
Correctivas	[CR]	Limitan propagación	Segmentación red, Aislamiento
Recuperativas	[RC]	Restablecen servicio	Backup, DRP, BCP
Disuasorias	[DC]	Disuaden atacantes	Avisos legales, Honeypots

Gestión del Riesgo Residual según ENS

Evaluación del Riesgo Residual (CCN-STIC 806)

Estado Actual del Riesgo tras Salvaguardas:

Categoría Amenaza	Riesgo Intrínseco	Eficacia Salvaguardas	Riesgo Residual	Estado
[N] Naturales	Medio (30)	90%	Muy Bajo (3)	✅ Aceptable
[I] Industriales	Medio (40)	85%	Bajo (6)	✅ Aceptable
[E] Errores	Alto (60)	75%	Medio (15)	⚠️ Monitorizar
[A] Ataques	Muy Alto (80)	80%	Medio (16)	⚠️ Plan acción

Distribución por Dimensiones DAICT:

Dimensión	Riesgo Inicial	Salvaguardas	Riesgo Residual	Nivel Aceptable
[D] Disponibilidad	Alto (70)	85%	Bajo (10.5)	Sí (≤15)
[A] Autenticidad	Muy Alto (90)	90%	Bajo (9)	Sí (≤10)
[I] Integridad	Muy Alto (95)	92%	Bajo (7.6)	Sí (≤10)
[C] Confidencialidad	Alto (75)	88%	Bajo (9)	Sí (≤15)
[T] Trazabilidad	Alto (80)	95%	Muy Bajo (4)	Sí (≤10)

Declaración de Aplicabilidad y Aceptación (RD 311/2022, Art. 27)

Documento de Aceptación Formal:

• Informe de Riesgo Residual: Documento T-110-004
• Responsable de la Información: Director Médico - Acepta riesgo clínico
• Responsable del Servicio: CTO - Acepta riesgo operacional
• Responsable de Seguridad: CISO - Valida controles técnicos
• Alta Dirección: CEO - Aprobación final y asunción de responsabilidad

Criterios de Aceptación:

• Riesgo residual en ZONA 1-2 (Muy Bajo-Bajo): Aceptación automática
• Riesgo residual en ZONA 3 (Medio): Requiere plan de mejora continua
• Riesgo residual en ZONA 4-5 (Alto-Crítico): No aceptable

Procedimiento de Análisis de Riesgos según CCN-STIC 806

Fases del Análisis (MAGERIT v3 + ENS)

FASE 1: Establecimiento del Contexto

1. Definición del alcance del sistema
2. Identificación de la misión y objetivos
3. Marco normativo aplicable (ENS, MDR, RGPD)
4. Identificación de restricciones
5. Estimación de recursos disponibles

FASE 2: Análisis de Activos (CCN-STIC 803)

1. Inventario de activos según tipología MAGERIT
2. Identificación de dependencias entre activos
3. Valoración DAICT (escala 0-10)
4. Determinación de activos esenciales
5. Documentación en herramienta PILAR

FASE 3: Análisis de Amenazas

1. Aplicación catálogo amenazas MAGERIT v3
2. Análisis específico sector sanitario
3. Inteligencia de amenazas (CCN-CERT)
4. Estimación de frecuencia/probabilidad
5. Análisis de tendencias y evolución

FASE 4: Identificación de Salvaguardas

1. Inventario salvaguardas existentes
2. Evaluación madurez (1-5)
3. Análisis de eficacia (%)
4. Identificación de gaps
5. Propuesta de mejoras

FASE 5: Estimación del Riesgo

1. Cálculo riesgo intrínseco (sin salvaguardas)
2. Aplicación de salvaguardas
3. Cálculo riesgo residual
4. Análisis por dimensiones DAICT
5. Generación mapa de calor

FASE 6: Plan de Tratamiento

1. Opciones de tratamiento (eliminar, mitigar, transferir, aceptar)
2. Selección de controles adicionales
3. Análisis coste-beneficio
4. Cronograma de implementación
5. Asignación de responsables

Periodicidad y Mantenimiento (RD 311/2022, Art. 7.3)

Revisiones Programadas:

Tipo	Frecuencia	Alcance	Responsable
Continua	Diaria	Indicadores automáticos	SOC
Táctica	Mensual	KPIs y métricas	CISO
Operativa	Trimestral	Amenazas emergentes	Security Team
Estratégica	Semestral	Controles y salvaguardas	Risk Manager
Completa	Anual	Análisis integral MAGERIT	CISO + Auditoría

Eventos que Requieren Reanalisis Inmediato:

• Incidente de seguridad con impacto ≥ MEDIO
• Vulnerabilidad crítica (CVSS ≥ 9.0)
• Cambio significativo en arquitectura
• Nueva regulación aplicable
• Integración con sistemas externos
• Cambio en categorización ENS
• Modificación del modelo de amenazas

Herramientas y Recursos CCN-STIC

Herramientas Oficiales CCN

Análisis de Riesgos:

• PILAR v8.3: Herramienta completa MAGERIT (licencia oficial)
• PILAR Basic: Versión simplificada para PYMES
• µPILAR: Micro análisis para sistemas simples
• ITS (INES Tool Suite): Análisis cualitativo ENS

Cumplimiento y Auditoría:

• CLARA: Auditoría de cumplimiento ENS
• DELFOS: Dashboard de gobierno ENS
• ANA: Analizador de configuraciones
• ROCIO: Borrado seguro de información

Gestión de Vulnerabilidades:

• CARMEN: Cartografía de recursos
• GLORIA: Gestión de vulnerabilidades
• LUCIA: Auditoría de seguridad web
• AMPARO: Análisis de malware

Recursos de Inteligencia de Amenazas

Fuentes Nacionales:

Fuente	Tipo	URL	Uso
CCN-CERT	Alertas y avisos	ccn-cert.cni.es	Diario
CCN-CERT IRIS	Gestión incidentes	iris.ccn-cert.cni.es	Incidentes
INCIBE-CERT	Sector privado	incibe-cert.es	Semanal
ESPDEF-CERT	Defensa	cert.defensa.gob.es	Mensual

Fuentes Internacionales Sanitarias:

Fuente	Tipo	Relevancia
FDA MAUDE	Eventos adversos MDR	Alta
H-ISAC	Health Information Sharing	Alta
ENISA	Agencia EU Ciberseguridad	Media
CISA	Alertas USA	Media

Plantillas y Documentación

Plantillas CCN-STIC:

• Plantilla Análisis de Riesgos (CCN-STIC 806 Anexo A)
• Declaración de Aplicabilidad (CCN-STIC 806 Anexo B)
• Plan de Tratamiento de Riesgos (CCN-STIC 806 Anexo C)
• Informe de Estado de Seguridad (CCN-STIC 824)

Responsabilidades según ENS (RD 311/2022)

Roles ENS Obligatorios

Estructura de Responsabilidades (Art. 10-12 RD 311/2022):

Rol ENS	Responsable Asignado	Funciones Principales
Responsable de la Información	Director Médico	- Establecer requisitos de seguridad - Decidir sobre los niveles de seguridad - Aceptar riesgo residual información
Responsable del Servicio	CTO	- Establecer requisitos de disponibilidad - Determinar niveles de servicio - Aceptar riesgo residual servicio
Responsable de Seguridad	CISO	- Mantener la seguridad de la información - Promover formación y concienciación - Coordinar análisis de riesgos
Responsable del Sistema	Head of Infrastructure	- Desarrollar, operar y mantener el sistema - Definir arquitectura de seguridad - Implementar controles técnicos

Matriz RACI - Análisis de Riesgos

Actividad	R. Información	R. Servicio	R. Seguridad	R. Sistema	Comité Seguridad
Categorización sistema	A	C	R	I	I
Valoración activos	R	C	A	C	I
Identificación amenazas	C	C	R	A	I
Evaluación riesgos	C	C	R	A	I
Selección salvaguardas	C	C	R	A	I
Plan tratamiento	A	A	R	C	I
Aceptación riesgo residual	A	A	R	I	C
Auditoría cumplimiento	I	I	A	C	R

R: Responsable, A: Aprueba, C: Consultado, I: Informado

Comité de Seguridad ENS

Composición:

• Presidente: CEO
• Secretario: CISO
• Vocales: CTO, Director Médico, Legal, DPO

Funciones (CCN-STIC 801):

• Aprobar la Política de Seguridad
• Supervisar el estado de seguridad
• Promover mejoras en gestión de riesgos
• Coordinar respuesta a incidentes graves
• Aprobar planes de auditoría

Reuniones:

• Ordinarias: Trimestrales
• Extraordinarias: Ante incidentes graves
• Quórum: 50% + Presidente o delegado

Métricas e Indicadores según CCN-STIC 815

Indicadores ENS Obligatorios

Indicadores de Proceso (RD 311/2022, Art. 35):

ID	Indicador	Fórmula	Meta	Frecuencia	Estado Actual
ENS-01	Cobertura análisis riesgos	(Activos analizados/Total activos)×100	100%	Trimestral	98% ✅
ENS-02	Riesgos críticos sin tratar	Nº riesgos ZONA 4-5 abiertos	0	Diaria	0 ✅
ENS-03	Eficacia salvaguardas	(Riesgo inicial-Riesgo residual)/Riesgo inicial×100	>80%	Mensual	85% ✅
ENS-04	Actualización análisis	Días desde última revisión	<90	Continua	45 ✅
ENS-05	Cumplimiento controles ENS	(Controles conformes/Total controles)×100	>95%	Mensual	92% ⚠️

Indicadores de Resultado:

ID	Indicador	Fórmula	Meta	Frecuencia	Estado Actual
ENS-06	Incidentes por riesgos no identificados	Nº incidentes fuera análisis	<5%	Mensual	2% ✅
ENS-07	Tiempo detección amenazas	MTTD (Mean Time To Detect)	<4h	Continua	2.5h ✅
ENS-08	Tiempo respuesta incidentes	MTTR (Mean Time To Respond)	<8h	Continua	6h ✅
ENS-09	Disponibilidad servicio	Uptime anual	>99.9%	Mensual	99.95% ✅
ENS-10	Pérdida datos por incidentes	GB perdidos/año	0	Anual	0 ✅

Modelo de Madurez ENS (CCN-STIC 821)

Nivel	Descripción	Características	Estado
0 - Inexistente	Sin gestión de riesgos	No hay proceso formal	❌
1 - Inicial	Ad-hoc y reactivo	Análisis puntuales sin método	❌
2 - Reproducible	Proceso básico definido	Metodología documentada	❌
3 - Definido	Proceso estándar integrado	MAGERIT v3 implementado	✅ Actual
4 - Gestionado	Medición y control	KPIs y mejora basada en datos	⚠️ Objetivo 2025
5 - Optimizado	Mejora continua	Predictivo y proactivo	📅 Objetivo 2026

Dashboard de Riesgos DAICT

Estado por Dimensión:

[D] Disponibilidad:  ████████░░ 85% (Objetivo: 95%)
[A] Autenticidad:    █████████░ 90% (Objetivo: 95%)
[I] Integridad:      █████████░ 92% (Objetivo: 95%)
[C] Confidencialidad:████████░░ 88% (Objetivo: 95%)
[T] Trazabilidad:    ██████████ 95% (Objetivo: 95%)

Integración con el Sistema de Gestión

Documentación del Sistema Integrado ENS-MDR

Procedimientos ENS:

• GP-110: Marco general ENS
• T-110-001: Plan de implementación ENS
• T-110-002: Guía implementación CCN-STIC
• T-110-003: Matriz de cumplimiento ENS
• T-110-004: Informe riesgo residual (pendiente)

Procedimientos MDR:

• GP-005: Gestión de riesgos ISO 14971
• GP-013: Ciberseguridad dispositivos médicos
• GP-024: Gestión de incidentes

Registros Técnicos:

• R-TF-013-002: Registro unificado de riesgos
• T-024-006: Modelo de amenazas
• T-024-007: Plan vigilancia post-comercialización
• T-024-008: Plan respuesta incidentes
• T-024-009: Arquitectura de seguridad

Puntos de Integración Proceso

Proceso	Interfaz con Análisis de Riesgos	Frecuencia
Gestión de Cambios	Evaluación impacto DAICT en cada RFC	Por cambio
Gestión Incidentes	Actualización probabilidades post-incidente	Por incidente
Desarrollo Producto	Security/Privacy by Design en requisitos	Por release
Auditoría Interna	Verificación eficacia salvaguardas	Anual
Vigilancia Post-Market	Actualización amenazas emergentes	Trimestral
Formación Personal	Necesidades según gaps identificados	Semestral

Cumplimiento Regulatorio Integrado

Matriz de Cumplimiento Multi-Regulación

Requisito	ENS (RD 311/2022)	MDR 2017/745	ISO 14971	ISO 27001	Estado
Análisis de riesgos	Art. 27, op.pl.1	Anexo I, 18.1	Cláusula 4-7	6.1.2, 8.2	✅
Gestión vulnerabilidades	Art. 7, op.exp.6	Anexo I, 17.2	7.1	A.12.6	✅
Plan tratamiento	Anexo II, op.pl.1	Anexo I, 4	Cláusula 8	6.1.3, 8.3	✅
Monitorización continua	Art. 7.2, op.mon	Anexo I, 18.5	9, 10	9.1	⚠️
Revisión periódica	Art. 35	Art. 83-86	10.4	9.3	✅
Documentación	Art. 33	Anexo II	3.5, 4.5	7.5	✅

Certificaciones y Conformidad

Certificaciones Actuales:

• ISO 13485:2016 - Sistema Gestión Calidad Dispositivos Médicos
• ISO 27001:2022 - Sistema Gestión Seguridad Información (en proceso)
• Marcado CE Clase IIa - Dispositivo Médico Software

Conformidad Declarada:

• ENS Categoría MEDIA - Autoevaluación conforme
• RGPD - Evaluación de Impacto (EIPD) completada
• NIS2 - Entidad no esencial, cumplimiento voluntario

Auditorías Planificadas:

• Q2 2025: Auditoría ENS (CCN-STIC 808)
• Q3 2025: Certificación ISO 27001
• Q4 2025: Renovación MDR

Anexos

Anexo A: Plantilla Análisis de Riesgos MAGERIT-ENS

# Identificación del Riesgo
riesgo_id: "ENS-R-XXX"
fecha_identificacion: "YYYY-MM-DD"
version: "1.0"

# Activo Afectado (según catálogo MAGERIT)
activo:
  codigo: "[D.vr]" # Ej: [D.vr], [S.api], [SW.app]
  nombre: "Nombre del activo"
  tipo: "Datos/Servicio/Software/Hardware/Personal"
  propietario: "Responsable del activo"

# Valoración DAICT del Activo
valoracion_activo:
  disponibilidad: 1-10
  autenticidad: 1-10
  integridad: 1-10
  confidencialidad: 1-10
  trazabilidad: 1-10

# Amenaza (según catálogo MAGERIT)
amenaza:
  codigo: "[A.5]" # Ej: [A.5] Suplantación
  categoria: "Natural/Industrial/Error/Ataque"
  descripcion: "Descripción detallada"
  origen: "Interno/Externo"

# Evaluación del Riesgo
evaluacion:
  probabilidad_inicial: "MB/B/M/A/MA" # Muy Baja a Muy Alta
  impacto_inicial: "MB/B/M/A/MA"
  riesgo_intrínseco: 0-1000 # Probabilidad × Impacto

# Salvaguardas Aplicadas
salvaguardas:
  - codigo: "op.acc.5"
    tipo: "Preventiva/Detectiva/Correctiva/Recuperativa"
    descripcion: "MFA obligatorio"
    eficacia: 90 # Porcentaje

# Riesgo Residual
riesgo_residual:
  probabilidad_controlada: "MB/B/M/A/MA"
  impacto_controlado: "MB/B/M/A/MA"
  valor_residual: 0-100
  zona_riesgo: 1-5 # 1=Muy Bajo, 5=Crítico

# Plan de Tratamiento
tratamiento:
  estrategia: "Eliminar/Mitigar/Transferir/Aceptar"
  acciones_adicionales: []
  responsable: "CISO/CTO/etc"
  fecha_objetivo: "YYYY-MM-DD"

# Aprobaciones
aprobaciones:
  responsable_informacion: "Nombre - Fecha"
  responsable_servicio: "Nombre - Fecha"
  responsable_seguridad: "Nombre - Fecha"

Anexo B: Plantilla Informe Ejecutivo ENS

# INFORME EJECUTIVO DE ANÁLISIS DE RIESGOS

## Sistema: Legit Health Plus

## Fecha: [FECHA]

## Clasificación: CONFIDENCIAL

### RESUMEN EJECUTIVO

- Categoría ENS: MEDIA
- Dimensiones ALTAS: Autenticidad, Integridad, Trazabilidad
- Riesgos identificados: XX
- Riesgos críticos: 0
- Cumplimiento ENS: XX%

### VALORACIÓN DAICT GLOBAL

| Dimensión            | Nivel | Justificación          |
| -------------------- | ----- | ---------------------- |
| [D] Disponibilidad   | MEDIO | RTO 4h, RPO 1h         |
| [A] Autenticidad     | ALTO  | Responsabilidad médica |
| [I] Integridad       | ALTO  | Precisión diagnóstica  |
| [C] Confidencialidad | MEDIO | Datos sanitarios       |
| [T] Trazabilidad     | ALTO  | Requisito MDR          |

### PRINCIPALES RIESGOS IDENTIFICADOS

[Tabla resumen top 10 riesgos]

### ESTADO DE SALVAGUARDAS

- Implementadas: XX%
- En proceso: XX%
- Planificadas: XX%

### RIESGO RESIDUAL ACEPTADO

[Declaración formal de aceptación]

### PLAN DE ACCIÓN

[Acciones prioritarias próximo periodo]

### FIRMAS

- Responsable Información: \***\*\_\_\_\*\***
- Responsable Servicio: \***\*\_\_\_\*\***
- Responsable Seguridad: \***\*\_\_\_\*\***
- Alta Dirección: \***\*\_\_\_\*\***

Anexo C: Checklist Auditoría CCN-STIC 808

Verificación Análisis de Riesgos ENS:

• Metodología MAGERIT v3 aplicada correctamente
• Todos los activos esenciales identificados y valorados
• Catálogo de amenazas MAGERIT completo aplicado
• Dimensiones DAICT evaluadas para cada activo
• Salvaguardas del Anexo II RD 311/2022 implementadas
• Riesgo intrínseco calculado (sin salvaguardas)
• Eficacia de salvaguardas medida objetivamente
• Riesgo residual calculado y dentro de límites aceptables
• Plan de tratamiento de riesgos documentado
• Declaración de aplicabilidad firmada
• Informe de riesgo residual aprobado por Dirección
• Roles ENS asignados formalmente
• Comité de Seguridad constituido y operativo
• Análisis actualizado en últimos 12 meses
• Herramienta PILAR con licencia válida
• Integración con gestión de incidentes operativa
• Métricas ENS (CCN-STIC 815) implementadas
• Registro de cambios y versiones mantenido
• Formación en MAGERIT del personal responsable
• Documentación clasificada según ENS

---

Nota: Este procedimiento está alineado con:

• Real Decreto 311/2022 (ENS)
• Guías CCN-STIC serie 800
• Metodología MAGERIT v3.0
• ISO 14971:2019 (Dispositivos Médicos)
• ISO/IEC 27005:2022 (Gestión Riesgos SI)

Signature meaning

The signatures for the approval process of this document can be found in the verified commits at the repository for the QMS. As a reference, the team members who are expected to participate in this document and their roles in the approval process, as defined in Annex I Responsibility Matrix of the GP-001, are:

• Author: Team members involved
• Reviewer: JD-003, JD-004
• Approver: JD-001